陳誠

【摘 要】本文對移動電子商務的安全要素和面臨的安全威脅作了分析，對構(gòu)建移動電子商務數(shù)據(jù)安全的關(guān)鍵技術(shù)數(shù)據(jù)加密技術(shù)做了詳細介紹，重點介紹了對稱加密技術(shù)和非對稱加密技術(shù)的代表算法DES和RSA。

【關(guān)鍵詞】移動電子商務安全；數(shù)據(jù)加密；對稱加密；非對稱加密；DES；RSA

1.引言

信息技術(shù)的快速發(fā)展和信息交換的大量增加帶來了新的驅(qū)動力和創(chuàng)新意識。伴隨著移動數(shù)據(jù)通信技術(shù)的不斷發(fā)展，借著3G網(wǎng)絡日益成熟和智能手機日趨普及的東風，移動電子商務正在改變著人們的生活以及整個社會的發(fā)展進程。許多原本基于傳統(tǒng)PC機的應用正逐漸向智能手機平臺遷移，而這種基于移動客戶端的網(wǎng)絡貿(mào)易必將引起人們對購物、娛樂和工作方式，甚至經(jīng)營管理觀念的革新。在此背景下，移動電子商務的安全與否便成了至關(guān)重要的問題。如何保證數(shù)據(jù)的保密性、數(shù)據(jù)的完整性、交易的不可否認性和交易者身份的真實性，這個問題越來越受到各方的關(guān)注。試想一下，如果你用手機客戶端給客戶發(fā)了封郵件，而你不知道這封郵件是否被第三方截獲，商業(yè)信息是否因此泄密；又或者你在用手機購物，卻不能確定輸入的銀行卡號和密碼是否會被別人知曉，對你的賬戶構(gòu)成威脅……為了避免這樣的情況真的發(fā)生，現(xiàn)代數(shù)據(jù)加密技術(shù)承擔了數(shù)據(jù)傳輸安全的保護重任。

2.移動電子商務安全要素

交易過程的安全性一直是移動電子商務安全的重中之重，要保證交易安全必須滿足以下要素：

（1）數(shù)據(jù)的保密性。數(shù)據(jù)的保密性是指數(shù)據(jù)在傳播過程中除授權(quán)用戶以外沒有人能夠使用該數(shù)據(jù)。移動電子商務的應用離不開網(wǎng)絡，EDGE、WIFI等的最終出口都是互聯(lián)網(wǎng)，存在被竊取的可能性，所以必須做到即使被竊取也無法讀懂，這樣才能保證數(shù)據(jù)安全有效。解決數(shù)據(jù)保密性的一般方法是采用加密技術(shù)。

（2）數(shù)據(jù)的完整性。數(shù)據(jù)的完整性是指交易各方在網(wǎng)絡上傳輸?shù)臄?shù)據(jù)沒有被隨意生成、修改和刪除。這里主要包括兩種情況：一是主觀原因造成的，比如被人惡意篡改收款人姓名、銀行卡號，以期達到詐騙目的。二是客觀原因造成的，比如傳輸鏈路中的某個節(jié)點硬件故障，導致傳輸?shù)臄?shù)據(jù)被丟棄。數(shù)字簽名技術(shù)和數(shù)字指紋技術(shù)都是常用的解決數(shù)據(jù)完整性的辦法。

（3）交易的不可否認性。交易的不可否認性是指交易各方不能否認已經(jīng)發(fā)生的交易行為，包括自己發(fā)出的數(shù)據(jù)和接收到的數(shù)據(jù)。

為了防止交易后產(chǎn)生糾紛，對于進行中的交易，雙方必須附上載有其自身的特點，別人無法復制的信息。數(shù)字簽名技術(shù)是避免這類交易糾紛的常用方法。

（4）交易者身份的真實性。

交易者身份的真實性是指參與交易的雙方必須是真實存在的。這主要是指在網(wǎng)絡交易過程中，在核實對方資料尤其是賬戶、卡號等敏感資料時，如何建立信任。受限于交易雙方不能見面，所以必須要在交易信息中附加能夠證明交易者身份的可靠標識。設立權(quán)威的第三方認證機構(gòu)為參與交易者提供擔保是目前常用的處理方法。交易時各方出具證書即可。

3.移動電子商務面臨的安全威脅

移動電子商務的實施平臺主要是手機和平板電腦，本身具有很強的移動性，加上Internet的開放性以及手機支付帶來的資金流轉(zhuǎn)計算機處理性，所以其面臨的安全威脅也就主要來自以下幾個方面：

一是手機平臺自身受到的安全威脅，進而影響到數(shù)據(jù)存儲安全。比如手機病毒、間諜軟件等，現(xiàn)在甚至出現(xiàn)了利用藍牙協(xié)議、WIFI協(xié)議漏洞自動進行攻擊的惡意軟件。

二是數(shù)據(jù)通過手機發(fā)送出去后在網(wǎng)絡傳輸過程中受到的安全威脅，比如被第三方截獲、篡改，或者網(wǎng)絡性能不穩(wěn)定導致交易信息丟失與謬誤。

三是由于雙方不能面對面交易所帶來的安全威脅，比如被第三方冒名套頂替取交易信息甚至直接參與交易，抑或是交易后某一方不承認交易成果。

4.數(shù)據(jù)加密的概念

數(shù)據(jù)加密技術(shù)是保護信息安全的重要手段之一，從本質(zhì)上講它是利用一定的加密算法，將明文轉(zhuǎn)換為密文再進行傳輸。加密后的密文不具備任何可讀性，理論上如果沒有解密密鑰是無法復原出原文的，從而達到保障數(shù)據(jù)安全性的目的。該過程的逆過程即為解密。

5.數(shù)據(jù)加密的算法

對稱加密和非對稱加密是加密算法的兩大分支。對稱加密使用同一把密鑰來進行加密和解密，密鑰一般稱作“Session Key”。對稱加密以數(shù)據(jù)加密標準DES（Data Encryption Standard）算法為代表。非對稱加密就是加密和解密使用兩把不同的密鑰配合完成，這兩把密鑰分別稱為“公鑰”和“私鑰”。公鑰公開，私鑰保密。兩者必須是一一對應關(guān)系，否則不能打開加密文件。非對稱加密通常以RSA（Rivest Shamir Ad1eman）算法為典型代表。

不同的工作原理源于完全迥異的設計思路。通常來說設計一個優(yōu)秀的算法有兩種思路。一是對所有可能的破解算法做深入研究，然后設計出一套規(guī)則，以防止這些解決方案在任何時候發(fā)揮作用，從而建立一個強大的能夠抵抗這些解法的加密算法。二是建立一些算法，讓你想破解就必須解決一些問題，而這些問題被認為是無法解決的。上節(jié)中提到的DES算法是第一種類型的代表，RSA算法則屬于第二種類型的曠世之作。

（1）DES算法

DES（Data Encryption Standard）是“數(shù)據(jù)加密標準”的簡稱。它是美國IBM公司于上世紀70年代中期的一個密碼算法發(fā)展而來的，并于1977年被美國國家標準局公布作為非機要部門使用的數(shù)據(jù)加密標準。

DES是一個分組加密算法，它以64位為分組對數(shù)據(jù)加密?；驹硎前衙魑陌垂潭ㄩL度（通常為64比特）分組，每組使用相同的算法與密鑰加密，輸出密文的長度也是固定值。所以DES也是一種對稱算法。同時還采用一些精心設計的置換和迭代，最終產(chǎn)生每塊64比特的密文。它的原始密鑰是56位長度，加上用作奇偶校驗的每個第8位，一共64位。DES的解密和DES的加密一樣，只不過是子密鑰的順序相反。DES加密解密只需完成簡單地算數(shù)運算和比特串異或處理的組合，因此密鑰生成難度較低，生成速度較快，在對大容量數(shù)據(jù)進行加密時尤其適用。缺點是用戶越多密鑰管理難度就越大，風險就越高，對于具有N個用戶的網(wǎng)絡，就需要N（N-1）/2個密鑰，尤其對于用戶數(shù)量大，分布廣的大型網(wǎng)絡而言存在較大的管理困難。加之其56位的密鑰長度已經(jīng)不符合現(xiàn)代的安全需求，故已逐漸淡出歷史舞臺。

（2）RSA算法

RSA算法最早由美國麻省理工學院的Ron Rivest、Adi Shamir和Leonard Adleman共同于1978年提出，“RSA”正是三位發(fā)明者的姓氏首字母組合。它的安全性基于一個數(shù)學難題，即具有大素數(shù)因子的合數(shù)分解。數(shù)論經(jīng)驗表明，求兩個大素數(shù)的乘積很容易，對此乘積進行因式分解卻極其困難?；谶@樣的理論基礎(chǔ)，RSA算法給出了一種操作模式：即同時生成兩把密鑰，其中一把稱之為公鑰的密鑰用于加密數(shù)據(jù)，另一把稱作私鑰的密鑰用于解密數(shù)據(jù)。而這兩把密鑰本身就是一對大素數(shù)函數(shù)，這樣就構(gòu)建出一種“由已知加密密鑰推導出解密密鑰在計算上是不可行的”算法。此外RSA算法還支持數(shù)字簽名功能，只需對加密過程逆運算即可。

加密原理如下。首先選取兩個大素數(shù)p和q （一般p、q不小于100位十進制數(shù)），計算：

n = p × q

然后找到一個能夠與（ p – 1 ） ×（ q -1 ）互質(zhì)的數(shù)e，則e就是加密密鑰。

最后，利用歐幾里得算法得到解密密鑰d，要求d必須滿足

e × d = 1 （ mod （ p – 1 ） × （ q - 1） ）

這里的n和d互質(zhì)?，F(xiàn)在我們可以用e和n來加密數(shù)據(jù)，用d來解密數(shù)據(jù)，拋棄p和q（當然不能讓任何人知道p、q的值）。

加密信息 m （二進制） 時，首先把m分成等長數(shù)據(jù)塊m1，m2，m3…，mi，塊長s，其中2^s <= n ， s 盡可能大。對應的密文是：

Ci = mi^e （ mod n ） （ A ）

解密時作如下計算：

Mi = （ mod n ） （ B ）

用作數(shù)字簽名時，用（A）式簽名，（B）式驗證。

經(jīng)RSA算法加密后產(chǎn)生的密文塊，每塊長度都與密鑰長度相等。選擇的密鑰長度越長則安全性越高，但同時加密所耗費的資源也越多，所以要視情況做合適選擇。比如日?？梢圆捎?4的密鑰以使系統(tǒng)開銷盡量小，同時又有一定的安全性。

6.結(jié)束語

數(shù)據(jù)加密技術(shù)是保證移動電子商務安全的重要組成部分，各國都在應用基于狀態(tài)機、模態(tài)邏輯和代數(shù)工具等分析方法進行各種新型密碼學和數(shù)據(jù)安全技術(shù)的研究。同時，由于大型計算機性能的不斷提升，新的密碼體制也在不斷探索中，如量子密碼、DNA密碼等。相信隨著移動電子商務的普及化未來必將推動密碼技術(shù)不斷向前發(fā)展。

參考文獻：

[1] 余紹軍， 彭銀香. 移動電子商務安全與數(shù)據(jù)加密技術(shù)[J]. 中國管理信息化， 2007， 10（4）：73-75.

[2] 李文獻， 左春榮， 楊善. 基于RSA的移動電子商務信息加密技術(shù)研究[J]. 合肥工業(yè)大學學報（社會科學版）， 2003， 17（1）：22-26.

[3] 汪紹榮， 溫德華. 淺談移動電子商務安全中的數(shù)據(jù)加密技術(shù)[J]. 通信技術(shù)， 2008， 41（12）：322-324.

[4] 林新平. 淺析DES數(shù)據(jù)加密算法[J]. 福建電腦， 2008（1）：58-59.

[5] 劉影. 數(shù)據(jù)加密算法[J]. 福建電腦， 2008（9）：61-64.